Herkunft, Content Credentials & Vertrauensstandards

Was Herkunft tatsächlich beweist

Eine Content Credential (C2PA) ist ein kryptografisch signiertes Manifest: ein Nachweis darüber, wer oder was eine Datei erstellt hat, wann, mit welchem Gerät oder Werkzeug, und welche Bearbeitungen anschließend vorgenommen wurden, jeweils signiert von dem Werkzeug, das die Behauptung aufgestellt hat. Wenn vorhanden und die Signaturkette gegen das Zertifikat der ausstellenden Stelle verifiziert, beweist dies, dass die Behauptung von diesem spezifischen Werkzeug aufgestellt und seit der Signierung nicht verändert wurde.

KI-Wasserzeichen (das am weitesten verbreitete Beispiel ist Google DeepMinds SynthID) funktionieren anders: Statt eines angehängten Nachweises betten sie ein nicht wahrnehmbares Signal direkt in die generierten Pixel selbst im Moment der Generierung ein, konzipiert, um gängige Transformationen wie Zuschneiden, erneute Komprimierung oder Formatkonvertierung zu überstehen.

Beide Mechanismen beweisen Teilnahme, nicht Wahrheit. Ein signiertes C2PA-Manifest beweist, dass das signierende Werkzeug eine bestimmte Behauptung aufgestellt hat — es verifiziert nicht unabhängig, ob die Behauptung zutrifft, sondern nur, dass sie von einer identifizierbaren, authentifizierten Quelle stammt und seither nicht manipuliert wurde.

Was Herkunft nicht beweisen kann

Herkunftssignale können keine Authentizität für Inhalte beweisen, die nie damit versehen wurden, können nicht nachträglich zu bestehenden Dateien hinzugefügt werden und können nicht jede reale Verarbeitungspipeline überstehen.

• Ein fehlendes Signal ist kein Beweis für Manipulation oder KI-Generierung — die meisten Inhalte hatten schlicht nie eines angehängt
• Sowohl C2PA als auch SynthID funktionieren nur, wenn das ursprüngliche Werkzeug an diesem spezifischen Standard teilnimmt; eine nicht teilnehmende Kamera, ein Editor oder Generator erzeugt überhaupt kein Signal, unabhängig davon, wie der Inhalt entstanden ist
• C2PA-Manifeste können von Plattformen und Pipelines entfernt werden, die eingebettete Metadaten nicht erhalten — erneutes Hochladen in sozialen Medien, Screenshots und viele Messaging-Apps entfernen sie routinemäßig
• Eine kryptografische Signatur beweist, wer die Behauptung signiert hat, nicht dass die Behauptung die Realität beschreibt — ein kompromittierter oder böswilliger Signierschlüssel könnte dennoch eine gültig signierte falsche Behauptung erzeugen, obwohl dies einen Zugang erfordert, den die meisten Angreifer nicht haben
• Keiner der Standards bewertet die kontextuelle Wahrheit: Ob ein echtes, unverändertes Foto korrekt beschriftet oder zur richtigen Zeit und am richtigen Ort verwendet wird, liegt außerhalb dessen, was einer der beiden Mechanismen prüft

Warum Metadaten- und Herkunftssignale verschwinden

Die überwältigende Mehrheit der im Umlauf befindlichen Bilder trägt kein Herkunftssignal, aus gewöhnlichen, unverdächtigen Gründen, nicht aus absichtlicher Umgehung.

• Das aufnehmende Gerät oder generierende Modell existierte vor dem Standard, oder der Hersteller hat ihn nicht implementiert
• Upload-Pipelines kodieren Dateien neu und verwerfen eingebettete Metadaten als routinemäßigen, nicht böswilligen Nebeneffekt der Verarbeitung (Thumbnail-Erstellung, Formatkonvertierung, Komprimierung)
• Screenshots und Bildschirmaufnahmen erfassen nur die gerenderten Pixel, keine Metadaten der Originaldatei
• Messaging-Apps und einige soziale Plattformen entfernen standardmäßig Metadaten, teils aus Gründen des Nutzerdatenschutzes (Metadaten können GPS-Koordinaten und Geräte-Identifikatoren enthalten)

Wann KI-Erkennung weiterhin erforderlich ist

Da Herkunft und Wasserzeichen optional sind und leicht bei der Übertragung verloren gehen, tragen die meisten Bilder, die eine Person tatsächlich bewerten muss — ein Foto aus unbekannter Quelle, ein Bild, das bereits von der Plattform, auf der es veröffentlicht wurde, von Metadaten befreit wurde, die Ausgabe eines Generators, der kein Wasserzeichen einbettet — überhaupt kein überprüfbares Herkunftssignal. Universelle KI-Erkennung existiert speziell für diesen Mehrheitsfall: Sie schätzt die Wahrscheinlichkeit, dass ein Bild KI-generiert oder manipuliert wurde, anhand der visuellen und technischen Beweise, die in der Datei selbst verfügbar sind, ohne davon abhängig zu sein, dass irgendein Werkzeug an einem Standard teilgenommen hat.

Wie sich Herkunft und Erkennung ergänzen

Die beiden Ansätze beantworten unterschiedliche Fragen und sind am stärksten, wenn sie gemeinsam verwendet werden, nicht als Ersatz füreinander.

• Wenn eine überprüfbare Content Credential vorhanden ist: Sie etabliert eine dokumentierte Beweiskette von der Aufnahme bis zur Bearbeitung — die stärkste verfügbare Beweisart, wenn sie existiert
• Wenn kein Herkunftssignal vorhanden ist (der übliche Fall): KI-Erkennung, Metadatenprüfung und Manipulationsanalyse werden zum primären verfügbaren Beweis
• Beide können auch gemeinsam geprüft werden, selbst wenn ein Signal vorhanden ist — ein gültiges C2PA-Manifest kann mit KI-generiertem Inhalt koexistieren, da manche Generatoren inzwischen ihre eigenen Ausgaben signieren; Erkennung und Herkunft prüfen unterschiedliche Dinge, sie konkurrieren nicht um dieselbe Antwort

Grenzen, direkt benannt

Grenzen von C2PA: Die Verbreitung ist noch eine Minderheit des gesamten im Umlauf befindlichen Bildvolumens; der Standard hängt davon ab, dass sich jedes Werkzeug in der Historie eines Inhalts zur Teilnahme und Erhaltung der Kette entscheidet; entfernte oder fehlende Credentials sind der übliche Fall, nicht die Ausnahme.

Grenzen von KI-Wasserzeichen: identifiziert nur Ausgaben von Generatoren, die das spezifische Wasserzeichenschema implementieren; liefert überhaupt kein Signal für nicht teilnehmende Generatoren, bearbeitete Composites oder ältere Generierungsmethoden; die Robustheit gegen gezielte Entfernung ist eine aktive, ungeklärte Forschungsfrage, kein gelöstes Problem.

Grenzen von Metadaten im Allgemeinen: leicht entfernbar, plattformübergreifend inkonsistent erhalten, und — selbst wenn vorhanden und unverändert — beschreiben sie die technische Historie der Datei, nicht ob ihr Inhalt oder Kontext wahrheitsgemäß dargestellt wird.

Wenn ein Bild eine gültige C2PA-Credential hat, bedeutet das, dass es authentisch ist?

Es bedeutet, dass das signierende Werkzeug eine spezifische, überprüfbare Behauptung über die Herkunft und Bearbeitungshistorie der Datei aufgestellt hat und diese Behauptung seit der Signierung nicht verändert wurde. Es verifiziert nicht unabhängig, ob die Behauptung zutrifft, und sagt nichts darüber aus, ob das Bild in einem zutreffenden Kontext verwendet wird.

Bedeutet ein fehlendes Herkunftssignal, dass ein Bild KI-generiert oder manipuliert wurde?

Nein. Die meisten im Umlauf befindlichen Bilder hatten von vornherein nie ein Herkunftssignal, oder es wurde beim Hochladen entfernt — ein fehlendes Signal ist der übliche Fall und für sich genommen kein Beweis für irgendetwas.

Können C2PA-Credentials oder SynthID-Wasserzeichen gefälscht werden?

Die kryptografische Signatur hinter einer C2PA-Credential kann ohne den privaten Schlüssel des Signierenden nicht gefälscht werden, aber eine Credential kann vollständig aus einer Datei entfernt werden (wodurch das Manifest verloren geht, nicht gefälscht wird). Die Robustheit des SynthID-Wasserzeichens gegen absichtliche Entfernung ist ein aktives Forschungsgebiet, keine Garantie.

Warum verlässt sich PhotoProof Labs nicht nur auf Content Credentials oder Wasserzeichen?

Weil die meisten in der Praxis angetroffenen Bilder keines der beiden Signale tragen. Die eigene Metadaten-Prüfschicht von PhotoProof Labs prüft verfügbare Herkunftssignale als einen von mehreren Faktoren — siehe die Methodikseite —, hängt aber nicht davon ab, dass ein einzelner Herkunftsstandard vorhanden ist, da dies die Mehrheit der realen Bilder ganz ohne Bewertung ließe.